偵測到的 Django Python 套件版本是比 4.2.x 舊的 4.2.30、比 5.2.x 舊的 5.2.13或比 6.0.x 舊的 6.0.4。因此，該主機會受到多個弱點影響，包括：

  - ASGIRequest 允許遠端攻擊者利用兩個標頭變體 (帶有連字號或帶有底線) 到單一含底線版本的不明確對應來偽造標頭。 (CVE-2026-3902)

  - 讀取 HttpRequest.body 時遺漏或少寫 Content-Length 標頭的 ASGI 要求可繞過 DATA_UPLOAD_MAX_MEMORY_SIZE 限制進而允許遠端攻擊者將無限制的要求內文載入記憶體。 (CVE-2026-33034)

  - MultiPartParser 允許遠端攻擊者提交 Content-Transfer-Encoding: base64 包含過多空白字元的分段上傳以降低效能。 (CVE-2026-33033)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 6.0 之前的 6.0.4、 5.2 之前的 5.2.13和 4.2 之前的 4.2.30中發現一個問題。使用 `ModelAdmin.list_editable` 的管理員變更清單表單不正確地允許透過偽造的 `POST` 資料建立新執行個體。之前未評估不受支援的 Django 系列 (例如 5.0.x、 4.1.x和 3.2.x)因此也可能受到影響。Django 要感謝 Cantina 報告此問題。 (CVE-2026-4292)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端 Ubuntu 18.04 LTS/20.04 LTS/22.04 LTS/24.04 LTS/25.10 主機上安裝的多個套件受到 USN-8154-1 公告中提及的多個弱點影響。

    Seokchan Yoon 發現Django 在剖析具有過多空白字元的 multipart 上傳時未正確處理複製記憶體。遠端攻擊者可能會利用此問題造成 Django 使用過量資源進而導致拒絕服務。 (CVE-2026-33033)

    據發現Django 未在 Content-Length 標頭中強制執行上傳記憶體大小限制。遠端攻擊者可能會利用此問題造成 Django 使用過量資源進而導致拒絕服務。此問題僅影響 Ubuntu 24.04 LTS 和 Ubuntu 25.10。(CVE-2026-33034)

    Tarek Nakkouch 發現 Django 未正確處理 ASGI 標頭中的底線。遠端攻擊者可能會利用此問題偽造 HTTP 標頭。此問題僅影響 Ubuntu 22.04 LTS、Ubuntu 24.04 LTS 和 Ubuntu 25.10。(CVE-2026-3902)

    據發現Django 未正確處理使用 POST 要求建立的模型資料驗證。遠端攻擊者可能利用此問題偽造新的模型權限。 (CVE-2026-4277、 CVE-2026-4292)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Ubuntu 18.04 LTS/20.04 LTS/22.04 LTS/24.04 LTS/25.10 主机上安装的多个程序包受到 USN-8154-1 公告中提及的多个漏洞影响。

    Seokchan Yoon 发现 Django 在解析空白过多的分段上传时未正确处理复制内存。远程攻击者可能利用此问题导致 Django 使用过多资源从而导致拒绝服务。 (CVE-2026-33033)

    发现 Django 未在 Content-Length 标头中强制实施上传内存大小限制。远程攻击者可能利用此问题导致 Django 使用过多资源从而导致拒绝服务。此问题仅影响 Ubuntu 24.04 LTS 和 Ubuntu 25.10。(CVE-2026-33034)

    Tarek Nakkouch 发现 Django 未能正确处理 ASGI 标头的下划线。远程攻击者可能利用此问题来伪造 HTTP 标头。此问题仅影响 Ubuntu 22.04 LTS、Ubuntu 24.04 LTS 和 Ubuntu 25.10。(CVE-2026-3902)

    发现 Django 未能正确处理对通过 POST 请求创建的模型数据的验证。远程攻击者可能利用此问题伪造新的模型权限。CVE-2026-4277、 CVE-2026-4292

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测到的 Django Python 程序包版本为低于 4.2.30的 4.2.x 、低于 5.2.13的 5.2.x 或低于 [ 6.0.x 的 [ 6.0.4。因此，该应用程序受到多个漏洞的影响，其中包括：

  - ASGIRequest 允许远程攻击者通过利用两个标头变体带连字符或带下划线到使用下划线的单个版本的有歧义映射来欺骗标头。 (CVE-2026-3902)

  - 缺少 Content-Length 标头或标头用量过低的 ASGI 请求在读取 HttpRequest.body 时可绕过 DATA_UPLOAD_MAX_MEMORY_SIZE 限制从而允许远程攻击者将无限制的请求正文加载至内存。 (CVE-2026-33034)

  - MultiPartParser 允许远程攻击者通过提交包含过多空格的 Content-Transfer-Encoding: base64 分段上传从而降低性能。 (CVE-2026-33033)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在低于 6.0.4[] 的  6.0 、低于 5.2.13的 5.2 和低于 4.2 的 4.2.30中发现问题。使用“ModelAdmin.list_editable”的管理员变更列表表单错误地允许通过伪造的“POST”数据创建新实例。此前不受支持的 Django 系列如 5.0.x、 4.1.x和 3.2.x] 未得到评估因此也可能受到影响。Django 在此感谢 Cantina 报告此问题。 (CVE-2026-4292)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.10 ホストには、USN-8154-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Seokchan Yuon氏は、過剰な空白があるマルチパートのアップロードを解析するとき、Djangoがメモリのコピーを不適切に処理することを発見しました。リモートの攻撃者がこの問題を利用して、Djangoに過剰なリソースを使用させ、サービス拒否を引き起こす可能性があります。CVE-2026-33033

    Django が Content-Length ヘッダーのアップロードメモリサイズ制限を実施しないことが判明しました。リモートの攻撃者がこの問題を利用して、Djangoに過剰なリソースを使用させ、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 24.04 LTS と Ubuntu 25.10のみです。(CVE-2026-33034)

    Tarek Nakkouch 氏は、Django が ASGI ヘッダーのアンダースコアを不適切に処理していることを発見しました。リモートの攻撃者が、この問題を利用して、HTTPヘッダーを偽装する可能性があります。この問題の影響を受けるのは Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、Ubuntu 25.10のみです (CVE-2026-3902)。

    DjangoがPOSTリクエストで作成されたモデルデータの検証を不適切に処理することがわかりました。リモートの攻撃者がこの問題を悪用し、新しいモデル権限を偽装する可能性があります。CVE-2026-4277、 CVE-2026-4292

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Django Python パッケージの検出されたバージョンは、 4.2.30より前の 4.2.x 、 5.2.x5.2.13より前の  ]、または 6.0.x より前の 6.0.4です。そのため、以下を含む複数の脆弱性による影響を受けます:

  - ASGIRequest により、リモートの攻撃者が、アンダースコア付きの単一のバージョンに対する、2 つのヘッダーバリアント (ハイフン付きまたはアンダースコア付き) の曖昧なマッピングを悪用することで、ヘッダーを偽装することができます。CVE-2026-3902

  - Content-Length ヘッダーが欠落しているか、削除されている ASGI リクエストが、HttpRequest.body を読み取る際に DATA_UPLOAD_MAX_MEMORY_SIZE 制限をバイパスする可能性があります。これにより、リモートの攻撃者が、際限のないリクエスト本文をメモリにロードする可能性があります。CVE-2026-33034

  - MultiPartParser により、リモートの攻撃者が、過剰な空白を含む Content-Transfer-Encoding: base64 でマルチパートアップロードを送信することで、パフォーマンスを低下させます。CVE-2026-33033

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - より前の 6.0.46.0 、 5.2 より前の 5.2.13]、 4.2 より前の 4.2.30で問題が発見されました。「ModelAdmin.list_editable」を使用する管理者変更リストフォームにより、偽装された「POST」データを通じて新しいインスタンスが作成される可能性があります。以前には、サポートされていない Django シリーズ 5.0.x、 4.1.x、 3.2.xなどは評価されず、また影響を受ける可能性があります。Django は、この問題を報告してくれた Cantina 氏に感謝の意を表します。CVE-2026-4292

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.10 host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-8154-1 advisory.

    Seokchan Yoon discovered that Django incorrectly handled copying memory when parsing multipart uploads     with excessive whitespace. A remote attacker could possibly use this issue to cause Django to use     excessive resources, leading to a denial of service. (CVE-2026-33033)

    It was discovered that Django did not enforce an upload memory size limit in the Content-Length header. A     remote attacker could possibly use this issue to cause Django to use excessive resources, leading to a     denial of service. This issue only affected Ubuntu 24.04 LTS and Ubuntu 25.10. (CVE-2026-33034)

    Tarek Nakkouch discovered that Django incorrectly handled underscores in the ASGI headers. A remote     attacker could possibly use this issue to spoof HTTP headers. This issue only affected Ubuntu 22.04 LTS,     Ubuntu 24.04 LTS, and Ubuntu 25.10. (CVE-2026-3902)

    It was discovered that Django incorrectly handled verification of model data created with POST requests. A     remote attacker could possibly use this issue to forge new model permissions. (CVE-2026-4277,     CVE-2026-4292)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The detected version of the Django Python package is 4.2.x prior to 4.2.30, 5.2.x prior to 5.2.13, or 6.0.x prior to 6.0.4. It is, therefore, affected by multiple vulnerabilities, including:

  - ASGIRequest allows a remote attacker to spoof headers by exploiting an ambiguous mapping of two header     variants (with hyphens or with underscores) to a single version with underscores. (CVE-2026-3902)

  - ASGI requests with a missing or understated Content-Length header could bypass the     DATA_UPLOAD_MAX_MEMORY_SIZE limit when reading HttpRequest.body, allowing remote attackers to load an     unbounded request body into memory. (CVE-2026-33034)

  - MultiPartParser allows remote attackers to degrade performance by submitting multipart uploads with     Content-Transfer-Encoding: base64 including excessive whitespace. (CVE-2026-33033)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - An issue was discovered in 6.0 before 6.0.4, 5.2 before 5.2.13, and 4.2 before 4.2.30. Admin changelist     forms using `ModelAdmin.list_editable` incorrectly allowed new instances to be created via forged `POST`     data. Earlier, unsupported Django series (such as 5.0.x, 4.1.x, and 3.2.x) were not evaluated and may also     be affected. Django would like to thank Cantina for reporting this issue. (CVE-2026-4292)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
305750	Python Library Django 4.2.x < 4.2.30 / 5.2.x < 5.2.13 / 6.0.x < 6.0.4 多個弱點	Nessus	Misc.	2026/4/9	2026/4/13	critical
305215	Linux Distros 未修補的弱點：CVE-2026-4292	Nessus	Misc.	2026/4/7	2026/4/20	low
306095	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 ] LTS / 24.04 LTS / 25.10 Django 弱點 (USN-8154-1)	Nessus	Ubuntu Local Security Checks	2026/4/13	2026/4/13	low
306095	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.10 Django 漏洞 (USN-8154-1)	Nessus	Ubuntu Local Security Checks	2026/4/13	2026/4/13	low
305750	Python Library Django 4.2.x < 4.2.30 / 5.2.x < 5.2.13 / 6.0.x < 6.0.4 多个漏洞	Nessus	Misc.	2026/4/9	2026/4/13	critical
305215	Linux Distros 未修补的漏洞：CVE-2026-4292	Nessus	Misc.	2026/4/7	2026/4/20	low
306095	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.10 Django の脆弱性USN-8154-1	Nessus	Ubuntu Local Security Checks	2026/4/13	2026/4/13	low
305750	Python Library Django 4.2.x < 4.2.30 / 5.2.x < 5.2.13 / 6.0.x < 6.0.4 複数の脆弱性	Nessus	Misc.	2026/4/9	2026/4/13	critical
305215	Linux Distros のパッチ未適用の脆弱性: CVE-2026-4292	Nessus	Misc.	2026/4/7	2026/4/20	low
306095	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.10 : Django vulnerabilities (USN-8154-1)	Nessus	Ubuntu Local Security Checks	2026/4/13	2026/4/13	low
305750	Python Library Django 4.2.x < 4.2.30 / 5.2.x < 5.2.13 / 6.0.x < 6.0.4 Multiple Vulnerabilities	Nessus	Misc.	2026/4/9	2026/4/13	critical
305215	Linux Distros Unpatched Vulnerability : CVE-2026-4292	Nessus	Misc.	2026/4/7	2026/4/20	low

检测

插件搜索

critical

low

low

low

critical

low

low

critical

low

low

critical

low